Patch-Day: 13 neue Updates für Windows & Office

Wie jeden zweiten Dienstag im Monat ist heute wieder Patch-Day bei Microsoft. Angekündigt waren 13 sicherheitsrelevante Updates für Windows und Office, die teilweise als kritisch eingestuft werden. Um die neuen Sicherheits-Updates zu beziehen, empfehlen wir die Nutzung der Microsoft Update Website. Andernfalls besteht die Möglichkeit, sich die Update-Dateien direkt aus dem Microsoft Download-Center bzw. den im Artikel verlinkten Security Bulletins zu laden.

Folgende Sicherheits-Updates wurden heute veröffentlicht:

MS11-057 - Kumulatives Sicherheitsupdate für Internet Explorer
Dieses Sicherheitsupdate behebt fünf vertraulich gemeldete Sicherheitsanfälligkeiten und zwei öffentlich gemeldete Sicherheitsanfälligkeiten in Internet Explorer. Die schwerwiegendsten Sicherheitsanfälligkeiten können Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite mit Internet Explorer anzeigt. Ein Angreifer, der diese Sicherheitsanfälligkeiten erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der lokale Benutzer erlangen. Für Endbenutzer, deren Konten mit weniger Benutzerrechten konfiguriert sind, kann dies geringere Auswirkungen haben als für Benutzer, die mit administrativen Benutzerrechten arbeiten.

Dieses Sicherheitsupdate wird für Internet Explorer 6 auf Windows-Clients, Internet Explorer 7, Internet Explorer 8 und Internet Explorer 9 als Kritisch und für Internet Explorer 6 auf Windows-Servern als Hoch eingestuft.

Security Bulletin: MS11-057
Knowledge Base: KB2559049


MS11-058 - Sicherheitsanfälligkeiten im DNS-Server
Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten im Windows DNS-Server. Die schwerwiegendere dieser Sicherheitsanfälligkeiten kann Remotecodeausführung ermöglichen, wenn ein Angreifer eine Domäne registriert, einen NAPTR DNS-Ressourceneintrag erstellt und dann dem Ziel-DNS-Server eine speziell gestaltete NAPTR-Abfrage sendet. Server, auf denen die DNS-Rolle nicht aktiviert ist, sind nicht gefährdet.

Dieses Sicherheitsupdate wird für 32-Bit und x64-basierte Editionen von Windows Server 2008 und x64-basierte Editionen von Windows Server 2008 R2 als Kritisch eingestuft; und für alle unterstützten Editionen von Windows Server 2003 wird es als Hoch eingestuft.

Security Bulletin: MS11-058
Knowledge Base: KB2562485


MS11-059 - Sicherheitsanfälligkeit in Data Access Components
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit kann Remotecodeausführung ermöglichen, wenn ein Benutzer eine gültige Excel-Datei (etwa eine XLSX-Datei) öffnet, die sich in demselben Netzwerkverzeichnis befindet wie eine speziell gestaltete Bibliotheksdatei. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der angemeldete Benutzer erlangen.

Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Windows 7 und Windows Server 2008 R2 als Hoch eingestuft.

Security Bulletin: MS11-059
Knowledge Base: KB2560656


MS11-060 - Sicherheitsanfälligkeiten in Microsoft Visio
Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Visio. Die Sicherheitsanfälligkeiten können eine Remotecodeausführung ermöglichen, wenn ein Benutzer eine speziell gestaltete Visio-Datei öffnet. Ein Angreifer, der diese Sicherheitsanfälligkeit erfolgreich ausnutzt, kann die gleichen Benutzerrechte wie der angemeldete Benutzer erlangen.

Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Microsoft Visio 2003, Microsoft Visio 2007 und Microsoft Visio 2010 als Hoch eingestuft.

Security Bulletin: MS11-060
Knowledge Base: KB2560978


MS11-061 - Sicherheitsanfälligkeit in Web Access für Remotedesktop
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Web Access für Remotedesktop. Die Sicherheitsanfälligkeit ist eine Sicherheitsanfälligkeit bezüglich siteübergreifender Skripterstellung (XSS), die eine Erhöhung von Berechtigungen ermöglichen kann, sodass ein Angreifer willkürliche Befehle auf der Site im Kontext des Zielbenutzers ausführen kann. Der XSS-Filter in Internet Explorer 8 und Internet Explorer 9 verhindert diesen Angriff für seine Benutzer, wenn diese in der Internetzone zu einem Server mit Web Access für Remotedesktop navigieren. Der XSS-Filter in Internet Explorer 8 und Internet Explorer 9 ist in der Intranetzone nicht standardmäßig aktiviert.

Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Microsoft Windows Server 2008 R2 als Hoch eingestuft.

Security Bulletin: MS11-061
Knowledge Base: KB2546250


MS11-062 - Sicherheitsanfälligkeit im NDISTAPI-Treiber des Remote Access Service
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in allen unterstützten Editionen von Windows XP und Windows Server 2003. Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Windows XP und Windows Server 2003 als Hoch eingestuft. Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 sind nicht von der Sicherheitsanfälligkeit betroffen.

Die Sicherheitsanfälligkeit kann Erhöhung von Berechtigungen ermöglichen, wenn ein Angreifer sich bei einem betroffenen System anmeldet und eine speziell gestaltete Anwendung ausführt, mit der die Sicherheitsanfälligkeit ausgenutzt werden soll, und vollständige Kontrolle über das betroffene System erlangen. Ein Angreifer benötigt gültige Anmeldeinformationen und muss sich lokal anmelden können, um diese Sicherheitsanfälligkeit auszunutzen. Das Sicherheitsupdate behebt die Sicherheitsanfälligkeit, indem korrigiert wird, wie der NDISTAPI-Treiber Benutzermoduseingaben überprüft, bevor diese an den Windows Kernel gesendet werden.

Security Bulletin: MS11-062
Knowledge Base: KB2566454


MS11-063 - Sicherheitsanfälligkeit im Windows Client/Server-Runtime-Subsystem
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit kann Erhöhung von Berechtigungen ermöglichen, wenn ein Angreifer sich bei einem betroffenen System anmeldet und eine speziell gestaltete Anwendung ausführt, die dafür entworfen wurde, einem Prozess mit höherer Integrität eine Geräte-Ereignismeldung zu senden. Ein Angreifer benötigt gültige Anmeldeinformationen und muss sich lokal anmelden können, um diese Sicherheitsanfälligkeit auszunutzen.

Dieses Sicherheitsupdate ist für alle unterstützten Versionen von Microsoft Windows als Hoch eingestuft.

Security Bulletin: MS11-063
Knowledge Base: KB2567680


MS11-064 - Sicherheitsanfälligkeiten im TCP/IP-Stapel
Dieses Sicherheitsupdate behebt zwei vertraulich gemeldete Sicherheitsanfälligkeiten in Microsoft Windows. Die Sicherheitsanfälligkeiten können Denial of Service ermöglichen, wenn ein Angreifer eine Sequenz von speziell gestalteten ICMP-Nachrichten (Internet Control Message Protocol) an ein Zielsystem sendet oder einem Server, der Webinhalte übermittelt und auf dem die URL-basierte QoS-Funktion (Quality of Service) aktiviert ist, eine speziell gestaltete URL-Anforderung sendet.

Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Windows Server 2008 und Windows Server 2008 R2 als Hoch eingestuft und für alle unterstützten Editionen von Windows Vista und Windows 7 als Mittel.

Security Bulletin: MS11-064
Knowledge Base: KB2563894


MS11-065 - Sicherheitsanfälligkeit in Remotedesktopprotokoll
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit im Remotedesktopprotokoll. Die Sicherheitsanfälligkeit kann Denial of Service ermöglichen, wenn ein betroffenes System eine Sequenz speziell gestalteter RDP-Pakete erhält. Microsoft hat auch Berichte über begrenzte, gezielte Angriffe erhalten, bei denen versucht wird, diese Sicherheitsanfälligkeit auszunutzen. Standardmäßig ist das Remotedesktopprotokoll (RDP) nicht auf jedem Windows-Betriebssystem aktiviert.

Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Windows Server 2003 als Hoch eingestuft und für alle unterstützten Editionen von Windows XP als Mittel eingestuft.

Security Bulletin: MS11-065
Knowledge Base: KB2570222


MS11-066 - Sicherheitsanfälligkeit in Microsoft Chart Controls
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in den ASP.NET Chart-Steuerelementen. Die Sicherheitsanfälligkeit kann die Offenlegung von Informationen ermöglichen, wenn ein Angreifer eine speziell gestaltete GET-Anforderung an einen betroffenen Server sendet, auf dem die Chart-Steuerelemente gehostet werden. Beachten Sie, dass diese Sicherheitsanfälligkeit einem Angreifer keine Codeausführung oder direkte Erhöhung von Berechtigungen ermöglicht, sondern zum Abrufen von Informationen genutzt wird, mit denen das betroffene System noch weiter gefährdet werden könnte. Nur Webanwendungen, in denen Microsoft Chart Controls verwendet wird, sind von diesem Problem betroffen. Standardinstallationen von .NET Framework sind nicht betroffen.

Dieses Sicherheitsupdate wird für Microsoft .NET Framework 4 auf allen unterstützten Versionen von Microsoft Windows und für Chart-Steuerelemente für Microsoft .NET Framework 3.5 Service Pack 1 als Hoch eingestuft.

Security Bulletin: MS11-066
Knowledge Base: KB2567943


MS11-067 - Sicherheitsanfälligkeit in Microsoft Report Viewer
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Report Viewer. Die Sicherheitsanfälligkeit kann eine Offenlegung von Informationen ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite anzeigt. Ein Angreifer kann einen Benutzer jedoch nicht zum Besuch einer solchen Website zwingen. Stattdessen muss der Angreifer den Benutzer zu einem Besuch dieser Website verleiten. Zu diesem Zweck wird der Benutzer normalerweise dazu gebracht, auf einen Link in einer E-Mail-Nachricht oder Instant Messenger-Nachricht zu klicken, die den Benutzer zur anfälligen Site führt.

Dieses Sicherheitsupdate wird für alle unterstützten Editionen von Microsoft Visual Studio 2005 und Microsoft Report Viewer 2005 Redistributable Package als Hoch eingestuft.

Security Bulletin: MS11-067
Knowledge Base: KB2578230


MS11-068 - Sicherheitsanfälligkeit in Windows Kernel
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft Windows. Die Sicherheitsanfälligkeit kann Denial of Service ermöglichen, wenn ein Benutzer eine Netzwerkfreigabe besucht (oder eine Website besucht, die auf eine Netzwerkfreigabe zeigt), die eine speziell gestaltete Datei enthält. Ein Angreifer kann einen Benutzer jedoch nicht zum Besuch einer solchen Netzwerkfreigabe oder Website zwingen. Stattdessen muss ein Angreifer einen Benutzer dazu verleiten, die Website oder Netzwerkfreigabe zu besuchen. Zu diesem Zweck wird der Benutzer meist dazu gebracht, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zu klicken.

Dieses Sicherheitsupdates wird für alle unterstützten Editionen von Windows Vista, Windows Server 2008, Windows 7 und Windows Server 2008 R2 als Mittel eingestuft.

Security Bulletin: MS11-068
Knowledge Base: KB2556532


MS11-069 - Sicherheitsanfälligkeit in .NET Framework
Dieses Sicherheitsupdate behebt eine vertraulich gemeldete Sicherheitsanfälligkeit in Microsoft .NET Framework. Die Sicherheitsanfälligkeit kann eine Offenlegung von Informationen ermöglichen, wenn ein Benutzer eine speziell gestaltete Webseite in einem Webbrowser anzeigt, der XAML-Browseranwendungen (XBAP) ausführen kann. In einem webbasierten Angriffsszenario kann ein Angreifer eine Website mit einer Webseite einrichten, die diese Sicherheitsanfälligkeit ausnutzt. Außerdem können manipulierte Websites und Websites, die von Endbenutzern bereitgestellte Inhalte oder Werbemitteilungen akzeptieren oder hosten, speziell gestaltete Inhalte enthalten, über die diese Sicherheitsanfälligkeit ausgenutzt werden könnte.

Ein Angreifer kann Endbenutzer jedoch nicht zum Besuch solcher Websites zwingen. Der Angreifer müsste statt dessen den Benutzer zum Besuch dieser Webseite verleiten, z. B. indem er den Benutzer dazu auffordert, in einer E-Mail oder einer Instant Messenger-Nachricht auf einen Link zur Website des Angreifers zu klicken. Diese Sicherheitsanfälligkeit kann auch von Windows .NET-Anwendungen verwendet werden, um Einschränkungen durch die Codezugriffssicherheit (CAS) zu umgehen.

Dieses Sicherheitsupdate wird für Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.5.1 und Microsoft .NET Framework 4 unter allen unterstützten Editionen von Microsoft Windows als Mittel eingestuft.

Security Bulletin: MS11-069
Knowledge Base: KB2567951